PoeLLM compromete más de 3.400 servidores de IA para minar criptomonedas

El 7 de octubre de 2026, investigadores de Black Lotus Labs, de Lumen, informaron de una campaña de criptominería que ha comprometido más de 3.400 servidores expuestos mediante el malware PoeLLM. La actividad llegó a registrar hasta 800 sistemas infectados en un solo día y afecta a organizaciones de Estados Unidos y Europa occidental.

Entre los sistemas atacados figuran herramientas de inteligencia artificial como LiteLLM y Ollama, además del conversor de PDF Gotenberg y el kit de desarrollo Gitea. Los investigadores también hallaron indicios de ataques contra Ivanti Sentry. Estos entornos resultan atractivos por su exposición a Internet y por el uso habitual de clústeres con GPU, adecuados para la minería de criptomonedas.

PoeLLM, distribuido como un archivo ELF denominado libgcrypt, obtiene las direcciones de sus servidores de mando y control a partir de palabras extraídas del poema «On the Nature of Connection», alojado en un archivo dash.css de un repositorio de GitHub. El malware convierte esas palabras en números mediante un diccionario integrado para generar una dirección IPv4. Los operadores han modificado el poema al menos 11 veces para cambiar la infraestructura de control.

El código incorpora una shell remota, los mineros XMRig e Iron, funciones de escaneo HTTP/S y capacidades para desplegar exploits. Los sistemas comprometidos se utilizan como puntos de apoyo para propagar la infección, con escaneos dirigidos a los puertos 3000 y 4000, asociados a Gotenberg y LiteLLM, y con intentos de explotar CVE-2026-42271. Esta vulnerabilidad afecta a los endpoints de prueba del servidor MCP de LiteLLM y puede encadenarse con CVE-2026-48710 para lograr ejecución remota de código sin autenticación.

Black Lotus Labs observó comunicaciones con el servicio ruso de minería Kryptex y detectó que varios servidores de mando y control exponían interfaces vulnerables de administración de routers, lo que apunta al posible uso de routers previamente comprometidos. Los investigadores no atribuyen la operación con certeza, aunque valoran con confianza moderada un posible origen italiano por comentarios presentes en el malware y por un servidor ubicado en Italia.

Black Lotus Labs recomienda aplicar las actualizaciones de seguridad más recientes, reducir la exposición pública de los activos críticos, limitar el acceso externo a direcciones IP de confianza y revisar los registros de monitorización en busca de conexiones asociadas a los indicadores de compromiso publicados.

Fuente: BleepingComputer.